AnswersPublished25 sources
PHP2Shell, cosa c’è da sapere sulle due falle critiche di PHP
PHP2Shell indica due falle critiche di PHP, CVE 2026 109618 e CVE 2026 109619: entrambe hanno ottenuto un punteggio CVSS 4.0 di 9,2 e possono consentire l’esecuzione di codice da remoto. Il progetto PHP ha pubblicato le correzioni d’emergenza il 21 ottobre 2026.
Pubblicato daModificato con GPT-6 LunaImmagini generate con GPT Image 2
Research answer
Key takeaways
- PHP2Shell indica due falle critiche di PHP, CVE 2026 109618 e CVE 2026 109619: entrambe hanno ottenuto un punteggio CVSS 4.0 di 9,2 e possono consentire l’esecuzione di codice da remoto.
- Il progetto PHP ha pubblicato le correzioni d’emergenza il 21 ottobre 2026. Calif ha individuato una falla con l’aiuto di GPT 5.6 Sol, mentre Wiz ha scoperto e segnalato entrambe le vulnerabilità in modo indipendente.
- Sono stati segnalati tentativi di scansione e sfruttamento, ma le fonti citate non confermano compromissioni riuscite né attacchi condotti da sistemi di IA agentica.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 24, 2026 report on the AI-discovered PHP2Shell vulnerabilities reveal about CVE-2026-109618 and CVE-2026-109619, their. Article summary: The available evidence describes PHP2Shell as two critical PHP vulnerabilities enabling remote code execution, with CVSS 4.0 ratings of 9.2, discovered through AI-assisted security research and addressed with emergency p. Topic tags: general, general web, news. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers
PHP2Shell è il nome dato a due vulnerabilità critiche nel linguaggio PHP, registrate come CVE-2026-109618 e CVE-2026-109619. Entrambe hanno ricevuto un punteggio CVSS 4.0 di 9,2 e possono consentire l’esecuzione di codice da remoto: in altre parole, un attaccante potrebbe eseguire comandi su un server senza prima autenticarsi. Il progetto PHP ha pubblicato aggiornamenti d’emergenza il 21 ottobre 2026. 8
9
10
La vicenda ha attirato l’attenzione anche per il ruolo dell’intelligenza artificiale nella ricerca di vulnerabilità. Calif ha individuato una falla con GPT-5.6 Sol di OpenAI; Wiz ha scoperto e segnalato autonomamente entrambe le vulnerabilità. I tentativi di scansione o sfruttamento, però, non equivalgono a prove di intrusioni riuscite. 20
29
34
Che cosa comportavano le due falle
Le vulnerabilità riguardano PHP stesso, il linguaggio che può funzionare dietro le quinte di un sito web, non una specifica piattaforma o un singolo plugin. La CVE-2026-109618 è legata alla gestione di una condizione di esaurimento della memoria, che può interrompere PHP mentre alcuni dati della richiesta sono ancora inizializzati solo in parte. La CVE-2026-109619 riguarda invece uno stato interno che può restare in memoria dopo che lo spazio associato è stato liberato. Entrambi i problemi possono portare all’esecuzione di codice da remoto. 10
26
Il punteggio di 9,2 su 10 assegnato a ciascuna vulnerabilità secondo CVSS 4.0 indica una gravità critica. Il rischio deriva dalla possibilità che un aggressore agisca da remoto e senza autenticazione su un server vulnerabile. 9
10
Come è entrata in gioco l’intelligenza artificiale
Calif ha individuato una falla critica utilizzando GPT-5.6 Sol di OpenAI nell’ambito dell’iniziativa Patch the Planet. Wiz ha condotto una ricerca indipendente e ha segnalato entrambe le vulnerabilità; secondo quanto riportato, il suo lavoro ha coinvolto lo strumento Wiz Atlas e i modelli Gemini 4 Argon e GPT-5.6 Sol. 20
29
Le ricostruzioni disponibili non coincidono del tutto sulle prime date. Un resoconto indica il 1° agosto come giorno in cui Calif individuò le falle; un altro riferisce che la prima vulnerabilità fu segnalata al progetto PHP l’11 agosto. Entrambi descrivono un lavoro coordinato con i manutentori prima della divulgazione di ottobre. 20
30
Il punto da tenere distinto è questo: l’IA ha aiutato i ricercatori a individuare le vulnerabilità, ma le fonti citate non dimostrano che sistemi di IA agentica abbiano condotto i successivi attacchi.
Le correzioni d’emergenza e i disservizi
Il 21 ottobre PHP ha pubblicato le versioni correttive 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Sono i numeri delle versioni ufficiali del progetto: le distribuzioni Linux possono applicare le correzioni mantenendo numeri di pacchetto diversi. Per questo è importante consultare anche l’avviso di sicurezza della propria distribuzione, senza basarsi soltanto sul numero di versione visibile. 8
27
Dopo la divulgazione, alcuni operatori hanno messo temporaneamente offline i propri sistemi per valutarne il rischio. Le cronache hanno riferito che il 21 ottobre siti governativi in Europa e altrove sono diventati irraggiungibili. 21 Un’altra ricostruzione afferma che la circolazione anticipata di dettagli sulle vulnerabilità contribuì a spostare di un giorno la data prevista per il rilascio di PHP.
22
33
Per chi gestisce sistemi PHP, la priorità è verificare che l’istanza che serve il traffico web abbia ricevuto la correzione appropriata, installare l’aggiornamento e seguire le indicazioni del fornitore su riavvio e verifica. Se il server è gestito da un provider, è meglio chiedere conferma che sia stato aggiornato, anziché dedurlo dal solo comportamento del sito. 8
24
Tentativi di attacco non significano compromissioni confermate
Secondo quanto riportato, Cloudflare e Patchstack hanno rilevato attività di scansione prima della pubblicazione della correzione PHP del 21 ottobre. Una successiva notizia ha parlato di milioni di tentativi; la BBC, il 22 ottobre, riferiva invece che non erano noti sfruttamenti riusciti. Queste informazioni giustificano prudenza, ma non dimostrano che i tentativi abbiano prodotto intrusioni confermate. 2
3
34
La conclusione più solida è quindi circoscritta: PHP2Shell era una minaccia grave, ha attirato rapidamente l’attenzione degli aggressori e richiedeva un aggiornamento urgente. Il volume dei tentativi non va però presentato come un conteggio degli attacchi riusciti. Le fonti citate, inoltre, non forniscono una stima affidabile del numero di siti vulnerabili esposti e non confermano attacchi condotti da IA agentica.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell, cosa c’è da sapere sulle due falle critiche di PHP"?
PHP2Shell indica due falle critiche di PHP, CVE 2026 109618 e CVE 2026 109619: entrambe hanno ottenuto un punteggio CVSS 4.0 di 9,2 e possono consentire l’esecuzione di codice da remoto.
What are the key points to validate first?
PHP2Shell indica due falle critiche di PHP, CVE 2026 109618 e CVE 2026 109619: entrambe hanno ottenuto un punteggio CVSS 4.0 di 9,2 e possono consentire l’esecuzione di codice da remoto. Il progetto PHP ha pubblicato le correzioni d’emergenza il 21 ottobre 2026. Calif ha individuato una falla con l’aiuto di GPT 5.6 Sol, mentre Wiz ha scoperto e segnalato entrambe le vulnerabilità in modo indipendente.
What should I do next in practice?
Sono stati segnalati tentativi di scansione e sfruttamento, ma le fonti citate non confermano compromissioni riuscite né attacchi condotti da sistemi di IA agentica.
Sources
wppoland.comPHP2Shell: is my WordPress site at risk and what to do - WPPoland
expresscomputer.inPHP2Shell: Security vendors race to contain a critical vulnerability as exploitation attempts spread
nivector.comPHP2Shell: the two critical PHP flaws that pushed governments offline
internazionale.itGovernment websites go dark after AI-discovered flaw ...